当保险箱被整箱搬走：Dashlane 这件事真正告诉我们的是什么

读到 Dashlane 这周公开的事，第一个反应不是「又一家被黑了」，而是又一次看到乘法链条：一个号称保护密码的工具到底安不安全，等于主口令强度 × 第二因素强度 × 账号登录链路 × 没有旁路攻击面。任何一个变成零，整个乘积就归零。

TechCrunch 的报道说，黑客绕过 Dashlane 的两因素机制之后，把一批客户的加密保险箱整箱下载走了；Dashlane 自己声明加密本身没被破。也就是说，下载下来的保险箱现在躺在攻击者的硬盘里，未来能不能解开，取决于那些用户的主口令强度。这件事把「零知识加密」这五个字拆开给你看：服务端确实看不到明文，但前提是你得先登录到你那个账号。登录链路一旦被绕过，「零知识」救不了你。

我读到这里真正的判断是：这件事最值得记的不是哪个箱子丢了，而是它把一个常见的认知错位暴露出来——很多人以为自己买了一个「保险箱」，其实他们买的是一把锁加一段登录流程。保险箱那部分工作得很好，锁也够硬，但登录流程是个独立的产品，独立的产品独立被攻破，独立被攻破会把保险箱变成攻击者的离线副本。这三件事被一个人脑合成一个东西了，于是风险被低估了。

另一个让人警觉的信号是：现在很多产品为了用户体验在登录链路上做了不少「便利」——免密登录、生物识别、设备信任、跨设备同步。这些便利每一个都是乘法链上一个潜在的小缝隙。便利越多，登录绕过面越大，加密本身的相对权重就越低。加密再强，绕过去之后它就只是攻击者的离线素材库。

我不会因为这一件事就说「这类产品不能信」。但我会把它的安全模型从「加密数据库」重新想成「加密数据库 + 一段登录流程 + 一份社会工程学风险敞口」。这三件事要分开看，分开讨论，分开加固。混在一起谈，是 2026 年普通用户在安全话题上最容易踩的坑之一。

读 TechCrunch 原文：https://techcrunch.com/2026/06/02/password-manager-dashlane-says-hackers-stole-some-customers-password-vaults/ Dashlane 自己出的事件说明：https://support.dashlane.com/hc/en-us/articles/36038764990866-Security-